本文目录导读：
关于关基安全CISP-CP（注册信息安全专业人员-关键信息基础设施保护）的合规行为准则，可以概括为以下几个核心维度，这些准则不仅是考试的重点，也是从事关基保护工作的行为底线。
背景理解： CISP-CP 认证主要面向关键信息基础设施（关基）的运营者、安全服务机构、监管部门等从业人员，其合规行为准则强调国家法规遵从、业务连续性与风险控制。
以下是CISP-CP合规行为准则的核心要点（结合《关键信息基础设施安全保护条例》、《网络安全法》、《数据安全法》等要求）：
总体原则
- 合法合规： 严格遵守《网络安全法》、《数据安全法》、《关键信息基础设施安全保护条例》等国家法律法规及行业标准。
- 底线思维： 坚持“安全第一、预防为主”，确保关基业务连续性不因安全事件中断。
- 权责一致： 明确安全岗位职责，在授权范围内行使安全操作与审计权限。
针对关基运营者的具体行为准则
- 安全保护义务履行：
- 必须设置专门的安全管理机构,并对关键岗位人员进行安全背景审查（通常要求无犯罪记录、无境外敏感背景等）。
- 定期进行网络安全检测与风险评估，发现风险后必须限期整改，不得隐瞒不报或虚假整改。
- 数据跨境与供应链安全：
- 关基运营者采购的网络产品和服务,必须通过国家安全审查（特别是可能影响国家安全的）。
- 在境内运营中收集和产生的个人信息和重要数据,应原则上存储在境内，确需出境的，必须依法通过安全评估。
- 事件报告与响应：
- 发生危害关基安全的重大事件（如大规模数据泄露、核心系统瘫痪），必须在1小时内向保护工作部门报告，并同步启动应急预案。
- 不得瞒报、谎报、迟报网络安全事件。
对CISP-CP持证人员的职业操守
- 忠诚与保密：
- 严格遵守国家秘密、商业秘密及单位内部敏感信息的保密规定。
- 不得利用从事关基保护工作之便,非法获取、出售或向境外组织提供关基系统的任何信息（包括漏洞、配置、拓扑等）。
- 风险遏制：
- 在发现系统存在严重漏洞或后门时,必须立刻上报，不得在非授权环境下对外透露或利用漏洞牟利。
- 不得进行越权访问、渗透测试（除非获得书面授权并严格遵守测试边界）。
- 持续学习：
主动跟踪关基保护的最新法规（如《关基保护条例》）、技术标准（如等保2.0、关基保护要求）。
禁止性行为（红线）
这些是CISP-CP考核中一票否决的行为，也是实际工作中的雷区：
- 泄露关基目录： 不得向非授权人员或机构透露关基设施的名称、系统架构、物理位置、安全保护等级等关键信息。
- 违规远程运维： 未经审批或未使用安全通道，不得对关基系统进行远程操作。
- 绕过审计： 关闭安全日志、修改审计记录、绕过双因子认证。
- 境外合作风险： 不得在没有国家批准的情况下，与境外机构（特别是受制裁国家或组织）合作进行关基安全评估或漏洞研究。
合规行为的实践建议（对企业和个人）
- 对个人： 所有操作需有记录、有审批、有复核，特别是涉及系统重启、数据备份恢复、配置变更时，必须严格执行变更管理流程。
- 对企业： 建立“安全合规官”机制，定期对照《关基保护条例》进行自查，对违反行为准则的员工，不仅涉及公司纪律，还可能承担法律责任（如《刑法》中的“拒不履行信息网络安全管理义务罪”）。
CISP-CP的合规行为准则核心在于：维护国家安全，保障业务连续，严守保密红线，依法依规操作。 如果是在考试中，要注意区分“关基运营者”和“一般网络运营者”在合规义务上的差异（关基更严格、更强调国家审查与1小时报告）。
如果需要针对某个具体条款（比如数据出境评估流程）或场景（比如发现漏洞后的处理流程）进行更详细的拆解，可以告诉我，我可以为你提供更为细致的解读。
